JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026204 sigstore-go は、Sigstore の署名および検証のための Go ライブラリです。バージョン 1.2.0 より前の版では、WithTransparencyLog(N＞1) または WithSignedCertificateTimestamps(N＞1) で構成された検証者は、ログ権限ごとではなく、エントリごとまたは検証パスごとに検証された証人をカウントしていました。このため、単一の侵害された透明性ログまたは CT ログが複数のログの閾値要件を満たし、マルチログポリシーを回避できる状態でした。この問題はバージョン 1.2.0 で修正されました。 cpe:/a:sigstore:sigstore-go https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026204.html Common Vulnerabilities and Exposures (CVE) CVE-2026-49834 https://www.cve.org/CVERecord?id=CVE-2026-49834 National Vulnerability Database (NVD) CVE-2026-49834 https://nvd.nist.gov/vuln/detail/CVE-2026-49834 GitHub Multi-log threshold bypass via single compromised log Advisory sigstore/sigstore-go GitHub https://github.com/sigstore/sigstore-go/security/advisories/GHSA-9vcr-p3rj-q5q6 JVNDB CWE-347 https://cwe.mitre.org/data/definitions/347.html 関連文書 Prevent multi-log threshold bypasses via single compromised log by Hayden-IO Pull Request #633 sigstore/sigstore-go GitHub https://github.com/sigstore/sigstore-go/pull/633 関連文書 Release v1.2.0 sigstore/sigstore-go GitHub https://github.com/sigstore/sigstore-go/releases/tag/v1.2.0 関連文書 Prevent multi-log threshold bypasses via single compromised log (#633) sigstore/sigstore-go@dbb07e6 GitHub https://github.com/sigstore/sigstore-go/commit/dbb07e62623edd5b175fb9dd5a41dcb85a159207 2026-07-31T15:00:28+09:00 2026-07-31T15:00:28+09:00